幸松です。

今日は、プライバシーマークの審査員について物申します。

プライバシーマークの取得支援コンサルタントをしていると非常に難しい問題が「審査対応」と言われる、プライバシーマークの審査員の指摘事項への対応です。
これが、本当に大変です。

誤解を与えてしまう可能性もあるかも分からないのですが、「審査対応」というより「審査員対応」です。
人（審査員）によって指摘する内容がバラバラです。

プライバシーマークを取得されている企業の担当者の方や、同業のコンサルタントの方とお話していると必ずと言って良いほど審査員の話が出てきます。
プライバシーマークの審査員の一部の方は、「？」と思う指摘を良くしてきます。

弊社のお客様の例ですと、
?審査を受ける
?審査の指摘事項が届
?指摘事項に対する改善報告を提出
?改善報告に対する結果(要は「まだ、この部分は完全ではないですよ」という指摘）が届く

上記の基本的なパターンなんですが、おかしいのは?の段階で「新しく」指摘事項が追加されてしまいました。

なぜ審査の時に指摘できなくて、後になってから追加？？？
審査はサンプリングであり完全を期するものでない性質であり、後から気付く場合もあるかも分かりませんが、せめて注意事項として言ってくれるのであれば納得できますが、正式な「不適合指摘」として改善を要求されるのは納得できません。

審査員は「審査の場で」発見した事実に関してのみ指摘するのが正しいはずです。審査が終わって、更に言うなら指摘事項への対応が終わった段階で「追加で指摘」するのはおかしいと思います。

あるお客様が仰っておられましたが、「審査員にめちゃくちゃにされる」と言うのが非常に納得できます。

私はプライバシーマーク制度自体は良い制度だと思います。ただ、体制（特に審査体制）については疑問に思う所が多々あります。
世の中の企業の個人情報の取扱いのセキュリティレベルを上げていくことが目的なのですが、今のままですと単なる「許認可」制度になってしまいます（一部では、既に許認可だよと仰ってる方もおられます）。

プライバシーマークは事業活動をより円滑に行っていくために取得するものです。
より良い体制になってくれることを願います。